Cloudflareの脅威インテリジェンス部門「Cloudforce One」は2026年10月29日、2026年第3四半期のDDoS脅威レポートを公開した。同社のネットワークで7〜9月に検出・緩和されたネットワーク層のDDoS攻撃は1,820万件に達し、前年同期から208%増加した。一方、通信帯域が1Tbpsを超える大規模攻撃は、前四半期の805件から251件へと約69%減少している。攻撃全体の件数が急増する一方、極めて大規模な攻撃は減少するという対照的な傾向が明らかになった。
DDoS（分散型サービス拒否）攻撃は、多数の機器などから大量の通信を送り込み、サーバーやネットワークに負荷をかけてサービスを妨害する攻撃だ。今回の調査で注意すべきなのは、巨大攻撃の減少率と攻撃全体の増加率では、集計対象も比較期間も異なることである。さらに、攻撃の大半は10分未満で終わっており、短時間の攻撃が繰り返される傾向も見られる。最大帯域が大きい攻撃の減少だけを見て、DDoSの脅威が弱まったと判断することはできない。
巨大DDoS攻撃は約69%減少、全体では前年比208%増
今回のレポートで特徴的なのは、攻撃規模によって件数の増減が大きく異なる点だ。Cloudflareによると、1Tbpsを超えるネットワーク層DDoS攻撃は、2026年第2四半期の805件から第3四半期には251件へ減少した。減少率は（805－251）÷805×100で約68.8%となる。一方、ネットワーク層DDoS攻撃全体は前年同期比208%増の1,820万件に達しており、前年の同じ時期と比べて3.08倍に増えている。
| 集計対象 | 比較期間 | 攻撃件数 | 増減 |
|---|---|---|---|
| 1Tbps超のネットワーク層DDoS攻撃 | 2026年Q2とQ3 | 805件 → 251件 | 前四半期比約68.8%減 |
| ネットワーク層DDoS攻撃全体 | 2025年Q3と2026年Q3 | 2026年Q3は1,820万件 | 前年同期比208%増（3.08倍） |
この二つの数字を比較する際には、1Tbps超の攻撃件数が減少したことと、個々の攻撃の最大帯域が小さくなったことを混同しないよう注意が必要だ。約69%という減少率は、あくまで1Tbpsを超えた攻撃の件数を比較したものであり、最大規模の攻撃が69%小さくなったという意味ではない。また、全体の208%増は前年同期との比較であり、前四半期からの変化を示す数字ではない。
さらに、今回の統計はCloudflareが自社ネットワークで検出・緩和した攻撃に限られる。インターネット全体で発生したDDoS攻撃の総数でも、実際にサービス停止などの被害が生じた件数でもない。攻撃件数の増減を被害規模や防御コストの変化に直接結びつけることはできず、脅威の実態を理解するには、攻撃の継続時間や通信量、使用された手法も確認する必要がある。
DDoS攻撃の96%は10分未満、98%は1Gbps未満
Cloudflareの観測では、ネットワーク層DDoS攻撃の96%が10分未満で終了し、98%は通信帯域が1Gbps未満にとどまった。攻撃件数が急増した一方で、その大多数は短時間かつ比較的小規模な攻撃だったことが分かる。ただし、96%と98%はそれぞれ継続時間と帯域を別々に集計した結果であり、「10分未満かつ1Gbps未満」の攻撃が96%を占めたという意味ではない。両方の条件を満たす攻撃の正確な割合は、この二つの数値だけでは分からない。
Cloudflareは、こうした短時間・小規模で高頻度の攻撃を、DDoS代行サービスに特徴的な傾向と説明している。DDoS代行サービスは、利用者が料金を支払うことで攻撃用のインフラを利用できるサービスで、短い攻撃を繰り返す用途にも使われる。ただし、今回観測された攻撃のすべてがDDoS代行サービスによるものと特定されたわけではない。攻撃の規模や継続時間が似ていることから、こうしたサービスの利用が増えている可能性を指摘したものだ。
短時間の攻撃が増えると、防御に求められる条件も変わる。長時間にわたって大量の通信を送り続ける攻撃であれば、異常を検知した後に対策を講じる時間を確保できる場合がある。しかし、数分以内に終わる攻撃が繰り返される場合、人間の担当者がアラートを確認してから対応する方法では間に合わない可能性が高い。最大帯域だけでなく、攻撃の継続時間、発生頻度、検出から緩和までに要する時間が、防御能力を評価するうえで重要になる。
なお、Cloudflareは同じ四半期に、HTTP層で14兆4,000億件のDDoSリクエストを緩和したことも報告している。ただし、この数字はHTTPリクエストの件数であり、ネットワーク層の1,820万件はDDoS攻撃そのものの件数を表す。両者は集計単位が異なるため、合算して攻撃総数としたり、数字の桁だけで脅威の大きさを比較したりすることはできない。
巨大ボットネットの取締りと攻撃手法の変化
1Tbpsを超える大規模DDoS攻撃が減少した背景について、Cloudflareは2026年初めに実施された大規模ボットネットへの法執行措置が影響した可能性を挙げている。対象となったのは、Aisuru、KimWolf、JackSkid、Mossadという4つのIoTボットネットだ。これらは多数の機器を攻撃に利用する大規模なネットワークとして知られ、取締りによって活動基盤が解体されたとCloudflareは説明している。ただし、取締りの時期と巨大攻撃の減少が重なったことは、両者の因果関係を証明するものではない。
また、既存のボットネットが取り締まられても、新たな攻撃基盤の出現は続いている。レポートでは、DysphoriaやEvooo1Botといった新しいボットネットの活動が報告されており、IoT機器を悪用した大規模攻撃の脅威は依然として残っている。特に、Miraiに分類された攻撃の中には、8月19日から21日にかけて49.7時間継続したものもあった。これは今回報告されたMirai分類の攻撃で最も長く続いた事例であり、すべてのDDoS攻撃を通じた最長記録ではない。大半の攻撃が10分未満で終わる一方、数日に及ぶ攻撃も引き続き発生している。
攻撃手法にも大きな変化が見られた。特に目立つのが、CLDAP（Connectionless Lightweight Directory Access Protocol）を悪用した攻撃の急減だ。CLDAP攻撃は前四半期比99.5%減少し、第3四半期のネットワーク層DDoS攻撃全体に占める割合はわずか0.05%となった。一方、DNS増幅攻撃は前四半期比215%増加し、全体の3.43%を占めた。攻撃者が利用する通信プロトコルを切り替えている可能性がうかがえる。
CLDAP攻撃とDNS増幅攻撃には、いずれも「反射・増幅」という共通の仕組みがある。攻撃者は被害者のIPアドレスを送信元として偽装し、第三者のサーバーに小さな問い合わせを送る。問い合わせを受けたサーバーが、それより大きな応答を偽装された送信元へ返すことで、被害者に大量の通信が集中する。攻撃者は自ら大量のデータを送信しなくても、第三者のサーバーを利用して攻撃通信を増幅できる。
CLDAP攻撃では、UDPの389番ポートで外部からの問い合わせを受け付けるドメインコントローラーなどが悪用される。一方、DNS増幅攻撃では、外部から利用できるDNSリゾルバーなどに問い合わせを送り、大きなDNS応答を被害者へ返させる。利用するサーバーやプロトコルは異なるものの、送信元IPアドレスの偽装と応答の増幅を利用する点は共通している。そのため、CLDAP攻撃が大幅に減少したからといって、反射・増幅攻撃全体の脅威が弱まったとはいえない。
UDPを利用した攻撃全体でも変化が起きている。大量のUDPパケットを標的に送り付けるUDPフラッドのうち、「その他」に分類された攻撃の構成比は、前四半期の14.06%から第3四半期には31.31%へ上昇した。UDPは通信相手との接続確立を必要としないため、大量のパケットを短時間で送る攻撃に悪用されやすい。ただし、14.06%から31.31%への変化は、攻撃全体に占める構成比の変化であり、そのまま攻撃件数の増加率を表すものではない。
こうした結果からは、特定の攻撃手法が衰退しても、攻撃者が別の方法へ移行する可能性が読み取れる。特に、DNS増幅攻撃の急増とUDPフラッドの構成比上昇は、ネットワーク層のDDoS対策において幅広い通信パターンへの対応が必要であることを示唆する。ただし、攻撃手法の変化が特定の取締りによって引き起こされたかどうかは、今回の統計だけでは判断できない。
短時間攻撃の増加で重要になる自動検出・緩和の速さ
今回の調査で浮かび上がったもう一つの課題が、DDoS攻撃への対応速度だ。Cloudflareは、自社のネットワークでは人間の介入を必要とせず、攻撃を自動的に検出・緩和していると説明している。また、今回観測された攻撃の多くは、人間のセキュリティ担当者がアラートを確認するよりも早く終了すると指摘した。攻撃の96%が10分未満で終わるという結果を踏まえると、異常を検知してから担当者が手動で対処する仕組みだけでは、十分な防御が難しい場面がある。
もっとも、これはCloudflareによる自社の防御機能についての説明であり、すべての攻撃を完全に防ぎ、サービス停止を回避できることを保証するものではない。また、今回のレポートには、検出から緩和までの時間をすべての攻撃について比較した統計や、防御に必要な人員・費用の変化が示されているわけではない。自動化の必要性を裏付ける攻撃傾向は確認できるものの、具体的な防御効果については別途評価する必要がある。
サービス運営者にとって重要なのは、攻撃の最大帯域だけでなく、短時間の攻撃が繰り返される状況でも、十分な速さで検出・緩和できるかという点だ。さらに、CLDAPからDNS増幅攻撃へといった攻撃手法の変化にも対応できる必要がある。攻撃が終了するまでの時間が短いほど、検出や緩和の遅れがサービスの可用性に影響する可能性があるため、防御システムの反応速度と継続的な監視が重要になる。
Cloudflareの2026年第3四半期の観測は、大規模DDoS攻撃の減少が、必ずしも脅威全体の後退を意味しないことを示している。1Tbps超の攻撃は約69%減少したものの、ネットワーク層の攻撃件数は前年同期から3倍以上に増加し、短時間攻撃や攻撃手法の変化が続いている。今後は巨大攻撃の件数に加え、自動防御による検出・緩和の速さ、DNS増幅攻撃やUDPフラッドの動向を継続的に確認する必要がある。取締りによる影響が一時的なものなのか、それとも攻撃規模や手法の長期的な変化につながるのかも、次の四半期以降の重要な注目点となる。
